対象：モスカードなど、店舗が発行するプリペイドカード（ハウス電子マネー）を持っている人と、こうしたカードの仕組みを外部に委託している事業者。本記事はペイクラウドホールディングス・バリューデザイン・モスフードサービスの公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月26日時点まだ分かっていないこと
- モスカード以外に対象となった発行会社とカード
- モスカードの件数と Value Card 全体の件数の関係
- 利用者がPINを設定し直す方法
- 未発行・未流通カードの今後の扱い
- どの脆弱性が悪用されたか
ペイクラウドホールディングスは10月23日の発表で「新たに判明した事実につきましては、速やかにお知らせいたします」としています。モスフードサービスも「新たに公表すべき事実が判明した場合には、当社Web サイト等にて速やかにお知らせいたします」としています。10月26日に各社のお知らせ一覧を確認した時点で、続報は出ていません。
カードを持っている人が今日やること
モスカードの利用履歴を確かめる
モスフードサービスは、不明な利用（チャージ額の引き去り等）がないか確認するよう呼びかけています。覚えのない利用があれば、モスカードお問い合わせ専用窓口に連絡してください。
窓口の受付時間は9時〜22時です。電話番号は、10月26日（月）までは03-3496-8322、10月27日（火）以降は0120-395-126（フリーダイヤル）です。
Web の残高照会などができなければ、専用窓口に連絡する
同社によれば、流出したカード番号に紐づくPIN番号は強制的に変更済みです。店頭、ネット注文、「お席で注文」でのカードの利用は問題ないとしています。
一方で、次のことができない場合は、専用窓口に連絡するよう案内しています。
- Web 上での残高照会
- 公式アプリへの新規登録
- ネット注文でのモスカードによるゲスト購入
問い合わせの際には、利用店舗や残高などの簡単な本人確認をする場合があるとしています。
PINやカード番号を尋ねる連絡には答えない
今回は氏名や連絡先は流出していません。それでも、事件が報道された後は、モスやカード会社を名乗って「PINの再設定」「残高の保護」を口実に番号を聞き出そうとする連絡が一般に考えられます。
電話・メール・SMSでPINやカード番号を求められたら答えず、公式発表に載っている番号に自分からかけ直して確かめてください（見分け方は フィッシングとは）。
モスカード以外の店舗プリペイドカードは、発行会社のお知らせを見る
Value Card は、バリューデザインがさまざまな発行会社に提供している仕組みです。バリューデザインは、不正アクセスを確認した一部の利用企業に対応の進捗を報告しているとしていますが、モスカード以外にどの発行会社のカードが対象かは公表されていません。
店舗のプリペイドカードを持っている人は、そのカードの発行会社（お店）の公式サイトのお知らせを確かめてください。カードの再発行やPINの変更が必要かどうかは、発行会社の案内に従います。10月26日時点で、モスフードサービスはカードの再発行を案内していません。
カード番号とPINがそろうことの意味
プリペイドカードは、名前ではなくカード番号とPINで持ち主を確かめる仕組みのものが多くあります。モスフードサービスの案内でも、PINの変更で影響が出る場面として、Web の残高照会、アプリへの登録、ネット注文のゲスト購入が挙げられています。同社は、不正利用防止の観点からPINを強制的に変更したとしています。一般に、氏名や住所が漏れていなくても、カード番号とPINが分かれば残高を使える場面があります。
何が起きたか（各社の発表から）
2026年10月23日、3社がそれぞれお知らせを出しました。株式会社バリューデザイン（Value Card の運営会社）、その親会社のペイクラウドホールディングス株式会社（東証グロース上場）、モスカードのサーバー運用・保守をバリューデザインに委託している、モスカードの発行会社の株式会社モスフードサービスです。モスフードサービスの発表は「Value Card」という名前を挙げていません。バリューデザインのお知らせは、詳細を親会社の開示資料で確認するよう案内しています。以下はすべて各社の発表内容です。
2026年10月14日（水）〜10月18日（日）
バリューデザインで、モスカードの管理システムに対する不審なアクセスや不正ログイン試行を検知。直ちにアクセス遮断などの緊急措置を実施（モスフードサービスの発表）。10月19日（月）
ペイクラウドホールディングスの発表で、本件の確認日とされている日。10月22日（木）
バリューデザインが、PHP の脆弱性への予防的な対応として、別のサービス（アララ キャッシュレス、オンラインチャージサービス）を一時停止するお知らせを掲載。このお知らせでは、「バリューカードASPサービス」は稼働しているとしている。本件との関係は、どの発表にも書かれていない。10月23日（金）
ペイクラウドホールディングス（適時開示）、バリューデザイン、モスフードサービスがそれぞれ公表。モスフードサービスは、流出したカード番号に紐づくPIN番号を強制的に変更したとしている（変更した日付は書かれていない）。10月27日（火）
モスカードお問い合わせ専用窓口の電話番号が0120-395-126（フリーダイヤル）に切り替わる予定。
- 対象
- バリューデザインが発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバー
- 流出した情報
- ID番号、PIN番号、残高情報
- 件数
- 1,424,748件（発行済ID 569,224件、未発行ID 855,524件）。未発行IDは、利用者が購入する前のID
- 個人情報
- 該当なし
- 利用者への影響
- 発行済IDについて不正利用のおそれがあったが対処済み。不正利用による実被害はない。対処に際して、一部利用に不便が出る場合がある
- 原因
- 子会社のシステムの一部の環境で、Webサーバーの脆弱性を第三者に悪用された
- 対応
- 判明後すぐに不正アクセスの経路を遮断。関係機関に報告済み。外部の専門機関と連携して全サービスの脆弱性箇所を再点検するとしている
- 流出した情報
- モスカード番号（16桁）、PIN番号（6桁）、残高情報
- 件数
- 発行総数 約380万件のうち113万3,070件（流通済みカード約57万件、未流通カード約56万件）
- 含まれないもの
- 氏名、住所、電話番号、クレジットカード情報などの個人情報
- 経緯
- 外部プログラムを用いた不正アクセスにより流出を確認
- 被害の状況
- 本件に起因するお客様被害の問い合わせは届いていない（10月23日時点）
- 一次対応
- 流出したカード番号に紐づくPIN番号を強制的に変更
- 問い合わせ
- モスカードお問い合わせ専用窓口（9時〜22時）。10月26日まで 03-3496-8322、10月27日以降 0120-395-126
Value Card の基盤（バリューデザイン）
ID番号・PIN番号・残高が流出：142万4,748件（ペイクラウドHD）
↓ バリューデザインの取引先の発行会社
モスカード（モスフードサービス）
113万3,070件。PINは強制変更済み
その他の発行会社
社名・カード名・件数は公表なし
↓ カードを持つ人
利用履歴を確かめ、発行会社の案内に従う。PINは誰にも伝えない
分かっていること・分かっていないこと
2026年10月26日時点の3社の発表（いずれも10月23日）をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| ID番号（カード番号）・PIN番号・残高 | Value Card・モスカードで管理していた情報 | 漏えいを確認（ペイクラウドHD・モスフードサービス） |
| Value Card 全体の件数 | 1,424,748件（発行済 569,224件、未発行 855,524件） | 確定（ペイクラウドHD） |
| モスカードの件数 | 113万3,070件（流通済み約57万件、未流通約56万件） | 確定（モスフードサービス） |
| 氏名・住所などの個人情報 | 該当なし。モスは氏名・住所・電話番号・クレジットカード情報を挙げている | 含まれない（両社） |
| 不正利用 | 発行済IDの不正利用のおそれは対処済み、実被害はない。モスには被害の問い合わせなし | 実被害なし（ペイクラウドHD）・被害の問い合わせなし（モス） |
| モスカードのPIN | 流出したカード番号に紐づくPINを強制的に変更 | 確定（モスフードサービス） |
| 原因 | Webサーバーの脆弱性を第三者に悪用された。どの脆弱性かは書かれていない | 確定（ペイクラウドHD）。詳細は記載なし |
| 他の発行会社 | 一部の利用企業に報告しているとするが、社名・カード名は書かれていない | 記載なし |
| モスカードの件数と全体の件数の関係 | 両社の数え方（発行済/未発行、流通済み/未流通）が別で、モスの件数が全体に含まれるかは書かれていない | 記載なし |
| 10月22日の PHP 脆弱性による別サービスの停止との関係 | 10月23日の発表には書かれていない | 記載なし |
| 未発行・未流通カードの今後の扱い | 書かれていない | 記載なし |
件数を足し合わせない理由
142万4,748件はペイクラウドホールディングスが示した Value Card 全体の件数、113万3,070件はモスフードサービスが示したモスカードの件数です。両社は内訳の分け方が異なり、モスカードの件数が全体に含まれるかどうかは書かれていません。本記事では2つの数字を別々に示し、足したり引いたりしません。
カード番号・PIN・残高が漏れると何が起きうるか
一般に、プリペイドカードの番号とPINが知られると、次のことが起こりえます（この事件で起きたという発表はありません。ペイクラウドホールディングスは実被害はないとし、モスフードサービスは被害の問い合わせは届いていないとしています）。
一般に起こりうること
- カード番号とPINで、本人になりすましてネット上で残高を使う
- 事件に便乗して「PINの再設定が必要」と装い、番号を聞き出す連絡
自分でできること
- 利用履歴を見て、覚えのない引き去りがないか確かめる
- 発行会社の案内（PINの変更・再発行）に従う
- PINやカード番号は、誰に聞かれても伝えない
氏名や連絡先が閲覧されたプリペイド・ポイントの事案は、セイコーマートのアプリの不正アクセスで整理しています。今回は逆に、名前ではなく、カードそのものを使うための番号が漏れた事案です。
プリペイドカードの仕組みを委託している事業者へ
原因は「Webサーバーの脆弱性」とだけ公表されており、どの製品の、どの脆弱性かは分かりません。ここでは公表された経緯と、漏れた項目から言えることに絞ります。
委託先の基盤に、自社のどのデータがあるかを把握しておく
今回、基盤の運営会社は全体の件数を、発行会社のモスフードサービスは自社カードの件数を、それぞれ公表しました。発行会社は自社の利用者に向けて、自分の言葉で対象と対応を説明する必要があります。委託先の基盤に、自社カードの番号・PIN・残高のどこまで（未販売のカードを含むか）が置かれているかを、平時に確かめておきます。
PINを一斉に変える手順を用意しておく
モスフードサービスは、流出したカード番号に紐づくPINを強制的に変更し、店頭などでの利用は問題ないとしています。一方で、Web の残高照会やアプリ登録ができなくなる利用者が出るため、窓口で受ける形をとっています。PINを一斉に変えたときに、利用者がどの機能を使えなくなり、どう設定し直してもらうかを、事前に決めておくと公表時の案内が早くなります。
販売前のカードの情報も、守る対象に含める
両社の内訳では、流出した件数の約5〜6割が、まだ売られていないカードでした。未販売のカードの番号とPINも、販売された時点で使えるようになる情報です。販売前のカードの情報をどこに置くか、販売前にPINを変えられるかを、販売中のカードと同じように見直します。
モスフードサービスは再発防止策として、委託先のセキュリティ監査の徹底、API 経由の不正アクセスへの制御の強化、簡易・高リスクなパスワード設定の制限、管理アカウントの接続元 IP アドレスの制限、委託先環境を含めた監視の強化を挙げています。これらは同社が今後取り組むとした対策で、今回の原因を示したものではありません。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない攻撃の詳細や原因は推測していません。
- ペイクラウドホールディングス株式会社「当社連結子会社が提供するシステムへの不正アクセスに関するお知らせ」（2026年10月23日、適時開示） — release.tdnet.info（PDF）
- 株式会社バリューデザイン「当社提供システムへの不正アクセスに関するお知らせ」（2026年10月23日） — valuedesign.jp
- 株式会社モスフードサービス「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」（2026年10月23日、適時開示） — eir-parts.net（PDF）
- モスバーガー公式サイト「【重要】第三者の不正アクセスに伴うモスカード情報の流出について」（2026年10月23日） — mos.jp
- 株式会社バリューデザイン「PHPの重大な脆弱性への対応に伴う 一部サービスの一時停止に関するお知らせ」（2026年10月22日。本件との関係は書かれていない） — valuedesign.jp
更新履歴
2026-10-26：初版。ペイクラウドホールディングス・バリューデザイン・モスフードサービスの10月23日の発表にもとづく。他の発行会社や原因の続報が出たら更新します。
次に読む
- 同じプリペイド・ポイントの事案：セイコーマートのアプリの不正アクセス
- 便乗詐欺への備え：フィッシングとは
- 委託先経由の事案：手間いらずの不正アクセス
- 2026年の大型事案：2026年の大型情報漏えいの比較 ／ 情報漏えい・サイバー攻撃の一覧（国内・海外）
- 運営側：組織のセキュリティ対策、最低限はどこか